CVE-2026-110447: corrija o Collabora Built-in CODE no Nextcloud

Resumo executivo

A CVE-2026-110447 é uma falha de injeção de comandos do sistema operacional no proxy do aplicativo richdocumentscode, usado para executar o Collabora Online Built-in CODE Server dentro do Nextcloud. Uma requisição de rede pode executar comandos com a conta do servidor web sem exigir autenticação ou interação do usuário.

A condição vulnerável ocorre quando o servidor CODE embutido não está em execução, por exemplo após reinicialização, atualização ou falha. Isso torna ambientes de colaboração e compartilhamento de arquivos um alvo de alto impacto: a conta do servidor web pode alcançar configurações, credenciais de banco de dados, aplicativos e dados permitidos pela implantação.

Versões afetadas, corrigidas e escopo

Servidores Collabora Online independentes não são afetados por esta CVE. O fornecedor também orienta que instalações Nextcloud em fim de vida, versão 29 ou anterior, atualizem o Nextcloud ou removam o aplicativo. A CVE-2026-110447 é distinta da CVE-2025-66208; a correção anterior não protege contra esta falha.

Impacto e evidências disponíveis

O aviso do fornecedor classifica a vulnerabilidade como crítica, com CVSS 4.0 de 9,2, e confirma que o processo do servidor web pode executar comandos no sistema. O registro CVE relata exploração observada em setembro e outubro de 2026. Em 23 de outubro, a CISA incluiu a falha no KEV e marcou a necessidade de triagem forense.

• Arquivos PHP ou outros executáveis não reconhecidos dentro das pastas de aplicativos do Nextcloud.
• Falhas de integridade de código, especialmente arquivos extras ou alterados no aplicativo richdocumentscode.
• Processos filhos, tarefas agendadas, contas ou conexões de saída incompatíveis com a operação normal do servidor.
• Acessos anormais ao aplicativo nos logs do proxy reverso, servidor web e Nextcloud durante reinicializações, atualizações ou indisponibilidade do CODE.

Esses sinais servem para triagem inicial. A ausência deles não comprova que o ambiente permaneceu íntegro.

Resposta imediata

1. Preserve logs, imagens de disco ou snapshots e demais evidências conforme o plano de resposta a incidentes antes de remover arquivos suspeitos.
2. Atualize o richdocumentscode para 26.4.303 ou posterior e confirme a versão realmente carregada pelo Nextcloud. Se o aplicativo não for necessário, remova-o; apenas desativá-lo é insuficiente segundo o fornecedor.
3. Execute as verificações oficiais de integridade do núcleo e do aplicativo e investigue todo arquivo extra, ausente ou com hash inválido.
4. Revise logs do servidor web, proxy reverso, Nextcloud, sistema operacional e controles de rede no período em que a versão vulnerável esteve instalada.
5. Se houver indício de comprometimento ou não for possível descartá-lo, isole e reconstrua o servidor a partir de fontes confiáveis. Não trate a atualização como remoção de persistência.
6. Rotacione credenciais e segredos acessíveis à conta do servidor web, incluindo banco de dados, armazenamento externo, SMTP, integrações, tokens e sessões administrativas.

Mitigação e hardening

• Mantenha Nextcloud, aplicativos e dependências em versões suportadas, com inventário e alerta de atualização.
• Restrinja a conta do servidor web ao menor conjunto possível de arquivos, comandos, redes e segredos; separe dados e backups das áreas graváveis por aplicativos.
• Limite a exposição administrativa por VPN ou controle equivalente e aplique filtragem de saída para reduzir comunicação não autorizada após um comprometimento.
• Centralize logs e alerte para falhas de integridade, criação de executáveis nas pastas da aplicação, processos filhos incomuns e alterações em tarefas agendadas.
• Teste reinicialização, atualização e recuperação do serviço em homologação; a condição vulnerável aparece justamente quando o CODE embutido não está em execução.